ゼロデイ攻撃

ゼロデイ攻撃は、開発ベンダー等が脆弱性対策情報を公表する前に、攻撃者がその脆弱性を悪用して行う攻撃です（IPA）。守る側にとっては、パッチを当てる準備の日がまだ1日も無いうちに狙われる、ということです。

これと対になるのが「N デイ攻撃」です。パッチや回避策が公開された後、利用者がそれを当てるまでの間を狙います。IPA の「情報セキュリティ10大脅威 2026」組織編では、どちらも4位「システムの脆弱性を悪用した攻撃」の手口として挙がっています。悪用の例として IPA が挙げるのは、ネットワーク機器の脆弱性を悪用した遠隔での任意のコード実行です。

IPA は事例として、2025年7月に日鉄ソリューションズが公表した被害を挙げています。同年3月に、同社のネットワーク機器の脆弱性を狙ったゼロデイ攻撃で不正アクセスを受け、サーバー内の個人情報等の一部が漏えいしたおそれがある、という件です。

パッチがまだ無いので、更新だけでは防げません。IPA は「修正パッチが無いことを前提とした多層防御、異常を検知する仕組み・体制を構築する」ことを挙げています。あわせて、使っている機器やソフトウェアを把握しておくこと、セキュリティのサポートが充実した製品を使うことも勧めています。